Adresele de e-mail conform GDPR: când sunt date cu caracter personal?

O adresă de e-mail este o dată cu caracter personal în temeiul GDPR ori de câte ori identifică o persoană în viață, direct sau indirect, cum ar fi prenume.nume@companie.com. O adresă generică, cum ar fi info@companie.com, de obicei nu este, deoarece indică o organizație și nu o singură persoană; prin urmare, majoritatea agendelor conțin date cu caracter personal, dar nu fiecare adresă din ele conțin acest lucru.

GDPR (în olandeză: AVG) se aplică direct în Olanda începând cu 25 mai 2018, fiind completat de Legea olandeză de implementare a GDPR (Uitvoeringswet AVG). Odată ce o adresă de e-mail se califică drept dată cu caracter personal, fiecare utilizare a acesteia necesită un temei juridic, iar e-mailurile de marketing sunt, de asemenea, reglementate de articolul 11.7 din Legea olandeză privind telecomunicațiile (Telecommunicatiewet).

Ce sunt datele cu caracter personal conform GDPR?

Datele cu caracter personal (persoonsgegevens) reprezintă orice informație referitoare la o persoană fizică identificată sau identificabilă. O persoană este identificabilă dacă poate fi identificată direct sau indirect, de exemplu printr-un nume, un număr de identificare, date de localizare sau un identificator online.

O adresă IP sau un ID de dispozitiv poate fi un identificator online în același mod ca o adresă de e-mail. Definiția acoperă doar persoanele fizice în viață: informațiile despre o companie ca atare nu sunt date cu caracter personal, deși informațiile despre persoanele care lucrează acolo pot fi. GDPR se aplică fiecărei organizații care prelucrează date cu caracter personal ale persoanelor din UE, indiferent unde își are sediul.

Când este o adresă de e-mail o dată cu caracter personal?

Când adresa, singură sau combinată cu alte informații pe care le dețineți sau pe care le puteți obține în mod rezonabil, indică o persoană identificabilă. GDPR nu are o regulă separată privind adresele de e-mail; aplicați testul general de identificabilitate fiecărei adrese.

• prenume.nume@gmail.com arată numele utilizatorului, astfel încât persoana este identificabilă doar din adresă: date personale.
• inițiale.nume@companie.com prezintă inițialele, numele de familie și angajatorul, care împreună identifică de obicei persoana: date cu caracter personal.
• puppy12@hotmail.com nu dezvăluie nimic despre utilizator în sine. Devin date personale odată ce le poți asocia cu o persoană, de exemplu prin intermediul fișei clientului sau al unui tichet de asistență.
• info@company.com or vânzări@companie.com aparține unei organizații sau funcții și este adesea utilizată de mai multe persoane: de obicei nu este vorba de date cu caracter personal. Dacă o singură persoană numită o folosește, analiza se poate schimba.

Ceea ce contează este posibilitatea identificării, nu intenția dumneavoastră. O adresă care poate fi utilizată în mod rezonabil pentru a identifica pe cineva este o dată cu caracter personal, chiar dacă nu o utilizați niciodată în acest scop. O adresă disponibilă publicului, de exemplu pe site-ul web al unei companii, nu își pierde statutul de dată cu caracter personal.

Este o adresă de e-mail o categorie specială de date?

Nu. Articolul 9 alineatul (1) din RGPD rezervă categoriile speciale pentru datele care dezvăluie originea rasială sau etnică, opiniile politice, convingerile religioase sau filozofice sau apartenența sindicală, precum și pentru datele genetice, biometrice și de sănătate, precum și pentru datele privind viața sexuală sau orientarea sexuală.

O adresă de e-mail nu dezvăluie nimic din toate acestea în sine, așadar regulile mai stricte pentru categoriile speciale nu se aplică. Conținutul unui e-mail poate fi o altă chestiune: un mesaj despre boala cuiva conține date medicale. Adresa în sine este o dată cu caracter personal obișnuită și trebuie protejată ca atare.

Când se aplică GDPR utilizării adreselor de e-mail?

De îndată ce le procesați. Prelucrarea este definită în sens larg: colectarea, înregistrarea, stocarea, organizarea, utilizarea, divulgarea și ștergerea tuturor datelor, automatizate sau nu.

Pentru fiecare utilizare, aveți nevoie de unul dintre temeiurile juridice din GDPR, cum ar fi consimțământul, executarea unui contract cu persoana respectivă sau interesul dumneavoastră legitim. Consimțământul trebuie să fie o manifestare liberă, specifică, informată și lipsită de ambiguitate a dorințelor (articolul 4 alineatul (11) GDPR). În conformitate cu articolul 5 din Legea de implementare olandeză, în cazul în care vă bazați pe consimțământul unui copil sub 16 ani, aveți nevoie, în general, de consimțământul unui părinte sau tutore.

Ce reguli se aplică e-mailurilor de marketing?

Articolul 11.7 din Legea telecomunicațiilor interzice e-mailurile comerciale nesolicitate, cu excepția cazului în care destinatarul și-a dat consimțământul prealabil. Regula se aplică pe lângă GDPR și este supravegheată de Autoritatea pentru Consumatori și Piețe (ACM); GDPR în sine este supravegheat de Autoritatea olandeză pentru protecția datelor (Autoriteit Persoonsgegevens, AP).

Există două excepții principale. În temeiul articolului 11.7(4), puteți trimite e-mailuri propriilor clienți despre produse sau servicii similare, dacă le-ați oferit o opțiune de dezabonare gratuită și ușoară atunci când ați colectat adresa și în fiecare mesaj. În temeiul articolului 11.7(3), cerința de consimțământ nu se aplică întreprinderilor care utilizează datele de contact electronice pe care destinatarul le-a desemnat și publicat pentru primirea unor astfel de comunicări, în scopurile legate de aceste date.

Ce ar trebui să verificați ca organizație?

• Presupuneți că listele dvs. de e-mailuri conțin date cu caracter personal, cu excepția cazului în care puteți demonstra altfel per adresă.
• Înregistrați o bază legală pentru fiecare utilizare: newsletter, serviciu clienți, vânzări, director intern.
• Păstrați dovada consimțământului pentru e-mailurile de marketing și un link de dezabonare în fiecare mesaj.
• Includeți liste de e-mailuri în evidența activităților de procesare, programul de păstrare a datelor și măsurile de securitate.
• Menționați prelucrarea adreselor de e-mail în declarația dumneavoastră de confidențialitate.

Ce ar trebui să verificați în calitate de persoană a cărei adresă este utilizată?

• Verifică dacă ți-ai dat consimțământul sau dacă ești deja client înainte de a primi e-mailuri de marketing.
• Folosește opțiunea de dezabonare din mesaj; aceasta trebuie să fie gratuită și ușoară.
• Întrebați organizația ce date deține despre dumneavoastră și în ce temei juridic.
• Dacă organizația nu răspunde corespunzător, puteți depune o plângere la AP sau la ACM pentru marketing nesolicitat.

Ce putem face pentru dumneavoastră cu adresele de e-mail și GDPR-ul?

Avocații noștri IT și specializați în confidențialitate oferă consultanță organizațiilor cu privire la conformitatea cu datele de e-mail și marketing.

• Evaluăm care dintre listele dvs. de e-mailuri se califică drept date cu caracter personal.
• Stabilim temeiul juridic corect pentru fiecare utilizare și îl documentăm.
• Verificăm newsletter-ul și fluxurile de marketing în conformitate cu articolul 11.7 din Legea telecomunicațiilor.
• Redactăm sau actualizăm declarația dumneavoastră de confidențialitate și evidența activităților de prelucrare.
• Răspundem în numele dumneavoastră la întrebările sau reclamațiile din partea AP sau ACM.

Rezumat

• O adresă de e-mail este o dată cu caracter personal dacă identifică o persoană vie, direct sau indirect.
• Adresele bazate pe nume sunt de obicei eligibile; adresele generice, cum ar fi info@, nu sunt de obicei.
• O adresă de e-mail nu este o categorie specială de date în sensul articolului 9 alineatul (1) din RGPD.
• Fiecare utilizare a unei adrese de e-mail personale necesită o bază legală în temeiul GDPR.
• E-mailurile de marketing necesită, de asemenea, consimțământ prealabil în temeiul articolului 11.7 din Legea telecomunicațiilor, cu excepții limitate.

Întrebări frecvente